Bilindigi üzere, 6698 sayili Kisisel Verilerin Korunmasi Kanunu ("Kanun") kapsaminda hali hazirda, kisisel verilerin yurtdisina aktarimi (i) veri sahibinin açik rizasinin alinmasi veya (ii) Kanun'un 5. veya 6. maddesinde sayilan veri isleme sartlarinin mevcut olmasi ve Kisisel Verileri Koruma Kurulu'ndan ("Kurul") aktarim ile ilgili bir izin alinmasi halinde mümkündür.1
Kurul'dan izin almak oldukça uzun bir süreç olabildiginden, genellikle veri sorumlulari yurtdisina aktarim için veri sahibinin açik rizasini alma yöntemine basvurmaktadir ancak bu da bazi zorluklari beraberinde getirmektedir. Söyle ki; Kanun'un 3. maddesinde yer alan açik riza tanimi göz önüne alindiginda, açik rizanin geçerlilik sartlarindan biri de özgür iradeye dayanilarak alinmasidir. Açik rizanin özgür iradeye dayandigindan bahsedebilmek için, veri sahibinin hiçbir kosula bagli olmaksizin verilerinin yurtdisina aktarilmasina izin vermis olmasi gerekir. Ancak veri sorumlusunun global bir sirketler grubunun parçasi oldugu durumlarda, veri sorumlusu veri sahibini istihdam edebilmek ya da ona bir hizmet sunabilmek veya onunla olan ticari iliskisini sürdürebilmek için bir anlamda zorunlu olarak verileri yurtdisina aktarmaktadir ve bu tür durumlarda, veri sahibi açik riza vermedigi takdirde, veri sahibi ile olan hukuki iliskiyi devam ettirmek mümkün olmamaktadir. Bu da aslinda açik rizanin özgür iradeye dayanmasi prensibini zedelemektedir.
Bu hususta, Kisisel Verileri Koruma Kurulu'nun 24.02.2022 tarih ve 2022/172 sayili Karari ("Karar") önem teskil edebilir. Karar, yurtdisindaki bir veri sorumlusunun Türkiye'deki irtibat bürosu hakkinda yapilan bir sikayete iliskindir. Veri sahibi, irtibat bürosunun bagli bulundugu yurtdisinda mukim tüzel kisinin çalisani olup, sikayet kapsaminda verilerinin hukuka aykiri sekilde irtibat bürosunca yurtdisindaki tüzel kisiye aktarildigindan da bahsetmistir. Kurul, Karar'da bu sikayete yönelik olarak söyle bir degerlendirme yapmistir:
"... Ilgili kisinin yurt disi menseli veri sorumlusu bünyesinde çalismak üzere is akdi yaparken, veri sorumlusunun tabi oldugu yabanci mevzuat geregi kendisinden temin edilen bilgi ve belge mahiyetindeki kisisel verilerinin yurt disinda islenecegini düsünmemesinin mümkün olmadigi, bir akdin gereginin yerine getirilmesi için ilgili kisiden açik riza temin etmekten baska hiçbir yasal yol olmamasi durumunda bu akit kurulurken taraflardan açik riza istenmesinin açik rizanin yasal unsurlarini sakatlamayacagi, zira ilgili kisinin bu akit kurulurken kisisel verilerinin akibetine dair farkindalik sahibi oldugu...".
Bu yaklasim çerçevesinde, Kurul verilerin yurtdisina aktarimi yönünden bir aykirilik bulunmadigin kanaat getirerek, veri sorumlusu aleyhine bir yaptirim uygulamamistir.
Her ne kadar Karar dogrudan global sirket gruplarinin parçasi olan Türkiye'de yerlesik veri sorumlularina iliskin olmasa da, Karar'in yukarida alintilanan kismi, bu tür veri sorumlularinin yurtdisinda bulunan ana sirketleri, bagli sirketleri ya da yurtdisindaki sunucularina yapilan aktarimlar bakimindan önem teskil edebilir. Söyle ki; veri sorumlusu Türkiye'de yerlesik olsa da, veri sorumlusunun global bir sirket oldugunu bilerek onunla herhangi bir türdeki sözlesmesel iliskiye giren veri sahibi, bu hukuki iliskinin ifasi kapsaminda verilerin yurtdisina aktarilabilecegini öngörebilir. Bu husus, veri sahibinden yurtdisina aktarim hususunda açik riza alinmasina gerek olmadigi anlamina gelmemektedir. Ancak açik rizanin verilmemesi halinde veri sorumlusunun bahse konu hukuki iliskiyi sürdüremeyeceginden bahisle, açik rizanin bir nevi kosula baglanmasinin Kanun'a aykirilik teskil etmeyecegi seklinde bir yorum yapilmasina zemin hazirlayabilir.
Diger yandan, yakin zamanda Kanun'un yurtdisina aktarimi düzenleyen maddelerinde, Avrupa Birligi Genel Veri Koruma Tüzügü (GDPR) örnek alinarak, degisiklik ve iyilestirmeler yapilmasi beklenmektedir.
1. Kurul tarafindan güvenli ülkeler açiklandiginda, bu ülkelere Kanun'un 5. ve 6. maddesinde sayilan veri isleme sartlarinin mevcudiyetine istinaden veri aktarilmasi mümkün hale gelecektir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
